gOxiA=苏繁=SuFan Blog

        前几日 gOxiA 将公司的 Windows Small Business Server 2011 Standard（SBS2011Std） 系统进行了升级更新，为其安装了 Exhange Server 2010 SP2 和后续的 Update Rollup 2，没想到却出现了问题。在 Update Rollup 2 安装接近结束时，更新进程停止了，日志中一直报 GPO 相关的错误，等待了近半个小时的时间，没有任何进展，无奈强制重启了 SBS2011Std 服务器，重启完毕后发现与 Exhcange Server 相关的服务都被禁用了，于是再次启动 Windows Update，并重新更新 Update Rollup 2 补丁，这次算是顺利的完成了更新，待重启服务器后发现 Exchange Server 相关服务还是禁用状态，随即手工将其他更改为自动，并启动服务。

        Exchange Server 故障惊魂才过，今天登录 SBS2011Std 服务器才在 Dashboard 中发现“网络基础摘要”中“更新”状态没有查询结果。 启动 Windows Server Update Services 控制台提示错误，检查了 IIS 才发现“WSUS 管理”站点时停止状态，当手动去启动它时提示错误“另一个程序正在使用此文件，进程无法访问。（异常来自 HRESULT : 0x80070020）”，如下图所示：

        从错误信息判断，该故障是典型的端口被其他程序占用所导致的问题，为了搞清是哪个程序占用了端口，我们可以用 netstat 进行查找，为此执行如下命令行：

        在查询结果中我们能得到如下图类似的结果，确认每条信息结尾的数字就是该程序的 PID，然后在任务管理器中通过 PID 即可定位程序。

        从截图中我们能看到占用 WSUS 8530 端口的进程是“MSExchangeAB”即“Microsoft Exchange 通讯簿”服务，看来应该是之前安装了 Exchange Server 的更新导致 MSExchangeAB 端口变更，并占用了 WSUS 的 8530 端口，参考了“安装指南模板 - 客户端访问服务器”，尝试手工为 MSExhangeAB 指定静态端口，为此执行如下步骤：

        启动“regedit”注册表编辑器，定位到“HKEY_LOCAL_MACHINE＼SYSTEM＼CurrentControlSet＼services＼MSExchangeAB”，创建一个新项并命名为“Parameters”，再其下创建一个名为“RpcTcpPort”的字符串，并将值设置为“59596”，该值就是 MSExchangeAB 的端口，当然也可以指定为其他不受冲突的端口。修改完毕后重启 MSExchangeAB 服务。

        重新在 IIS 里启动“WSUS 管理”站点，故障消除！在恢复正常后，我们可以把之前设置的 MSExchangeAB 静态端口删除。

HOWTO: 为 SharePoint 2010 配置 Adobe PDF iFilter 9

        公司的 SharePoint 2010 存储有不少 PDF 文件，当点击 PDF 文件时只提示下载保存该文件，而往往用户希望能直接打开文件来阅读。为此我们需要在 SharePoint 2010 上配置 PDF iFilter 9 的支持，才能实现用户的需要。

        首先，我们需要从 Adobe 网站下载 PDF iFilter 9：http://www.adobe.com/support/downloads/detail.jsp?ftpID=4025

        然后，找个 16x16 尺寸的 PDF 图标文件，可以是 GIF 或 PNG 格式，访问 Adobe 可以找到这些图标。

        接下来安装 PDF iFilter 9（步骤省略），并在 SharePoint 2010 上进行相关的配置，为此请执行如下步骤：

1. 将图标文件拷贝到“C:＼Program Files＼Common Files＼Microsoft Shared＼Web Server Extensions＼14＼TEMPLATE＼IMAGES”目录下。
2. 修改“TEMPLATE”下“XML”子目录下的“docicon.xml”文件，添加如下内容：
   
   <Mapping Key="PDF” Value=”pdf16x16.png” />
3. 运行 regedit 注册表编辑器，定位至
   
   HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Shared Tools＼Web Server Extensions＼14.0＼Search＼Setup＼ContentIndexCommon＼Filters＼Extension
   
   添加名为“.PDF”的项，并修改默认字符串的值为“{E8978DA6-047F-4E3D-9C78-CDBE46041603}”

        最后重启一下 IIS 和 SharePoint 服务，重新点击 PDF 文件就会弹出以只读或编辑方式打开 PDF 的提示窗口，当然本机要确保已经安装了 Adobe Reader。

经验分享：因操作系统与TMG网络适配器配置信息未同步引发的网络访问故障

        前段时间在协助一家企业进行 TMG 的评估工作，大致的环境是在位于两个城市的中心机房各部署一套 TMG，并使用 PPTP 实现了 Site-to-Site VPN，从而将两地的 IT 环境相联。但是遇到了一系列的诡异问题，特与大家分享一下。

        初期的测试都是非常顺利的，但是在运行一段时间后，评估环境内的用户反应有某银行的网上银行站点无法访问，通过 Live Log 以及 Network Capture 对一系列访问数据进行分析发现 Live Log 中记录的都是 RST对方银行使用了某种网络优化手段，对子站点实施了线路优化，但是又有违常规，简单说当用户访问“http://www.xxxbank.com”时对应的是一个 IP 地址，但是当通过该站点页面访问二级目录“http://www.xxxbank.com/enterprise”时却会被重定向到另外一个 IP 地址上。

        利用 ping 等命令也做了简单的测试，发现“www.xxxbank.com”是别名解析，对应的是“www.lc.xxxbank.com”，而这个域名会自动识别用户 IP 来重定向到对应的另一个主机域名->网络 IP。这一系列的访问过程却让评估环境下的 TMG 用户出现了无法访问的故障，而这一故障并不是一直会重现，偶尔能够正常访问。当错误发生时在 Live Log 中能看到是因为 RST 相关的错误，此外在 TMG 本机访问银行是没有问题的，如果将客户端配置为 Web Proxy 便能恢复正常。

        而在另外一个城市的 TMG 环境下测试发现均未出现此类的故障。但是两地解析域名所得到的 IP 会有所不同，问题出在了哪里呢？！曾经与银行方面也联系过，未果！后来在微软技术支持工程师的帮助下了解到，TMG 在创建 Site-to-Site VPN 后，会将对端网络中的 DNS 作为本机的主 DNS，那么就会出现 TMG 本机上访问网站时得到的解析结果是 VPN 对端网络里的 DNS Server 给出的，而本地 TMG 后端的用户解析则是本地 DNS Server 给出的，其结果将会得到两个解析数据。

        之后在“路由和远程访问”中对 VPN 拨号连接进行了设置，将 TCP/IP 下的 DNS 手动改为 TMG 本地网中的 DNS Server 地址，随后的一段时间里访问看起来是“正常了”。

        果然，好景不长！评估环境的用户又反应访问某市公安局网站（也实施了线路优化）时无法访问，这次即使为客户端配置 Web Proxy 也无济于事，同时在 TMG 本机测试也无法访问，问题到底出在哪里了呢？！从早期检测到的 RST 未返回数据包到 FIN 三次握手失败等一系列的故障看，TMG 自身一定是存在问题。先后在多个 TMG 环境下对比测试，排除了 TMG 软件设计方面可能存在的不兼容问题，那么就要将注意力集中到这台 TMG 配置上。

        最后发现，在 TMG 网络适配器中，当前外网的网卡默认 IP 与操作系统的外网网卡默认 IP 不同（注：TMG 外网绑定了多个 IP 地址），问题可能就出在这里。当 TMG 访问外部时，可能使用系统配置的 IP 作为宿主，但是客户端访问时却使用了 TMG 配置的 IP，这有可能就是引发 RST 和 FIN 问题的最终原因。随后将两个配置信息重新修改一致后，所有的访问都恢复了正常，之前的故障未在出现！

        但是，引发数据不同步的原因一直不明，回忆之前的部署过程，有过两个管理员同时配置 TMG，而服务器也因为内存问题出现过故障，还导致 TMG 缓存配置与数据库不一致的问题。目前评估工作一直在进行着，最近又接到通知 TMG 在华停止销售，因为销售许可到期，不过听闻也许在五月底就能恢复销售！

        总之，TMG 作为一款受青睐的企业级的网络安全和加速产品，在华业务任重道远……